Object Storage Service:RAM ポリシーを使用した OSS へのアクセスコントロール

OSS のストレージモデル

OSS はフラットなストレージモデルを採用しており、オブジェクトはバケット内に直接キーと値のペアとして保存されます。物理的なディレクトリ階層は存在しません。コンソールで表示されるフォルダは、オブジェクトキーのプレフィックスと区切り文字 (/) を使用してシミュレートされたものです。これにより、オブジェクトをグループ化、分類、管理できます。

examplebucket バケットの場合、コンソールに表示されるフォルダ構造と対応するオブジェクトキーは次のようになります。

examplebucket
├── Development/                     # キー: Development/ (フォルダオブジェクト)
│   ├── Alibaba Cloud.pdf            # キー: Development/Alibaba Cloud.pdf
│   ├── ProjectA.docx                # キー: Development/ProjectA.docx
│   └── ProjectB.docx                # キー: Development/ProjectB.docx
├── Marketing/                       # キー: Marketing/ (フォルダオブジェクト)
│   ├── data2020.xlsx                # キー: Marketing/data2020.xlsx
│   └── data2021.xlsx                # キー: Marketing/data2021.xlsx
├── Private/                         # キー: Private/ (フォルダオブジェクト)
│   └── 2017/                        # キー: Private/2017/ (フォルダオブジェクト)
│       ├── images.zip               # キー: Private/2017/images.zip
│       └── promote.pptx             # キー: Private/2017/promote.pptx
└── oss-dg.pdf                       # キー: oss-dg.pdf

フォルダオブジェクトのキーは / で終わります。OSS はこれを、オブジェクトがフォルダであることを識別するためのフラグとして使用します。ただし、フォルダオブジェクトを含むすべてのオブジェクトは、フラットな構造で保存されます。

OSS には実際のディレクトリ階層がないため、フォルダへのアクセスを許可するということは、実際には特定のプレフィックスを持つすべてのオブジェクトへのアクセスを許可することになります。たとえば、Development/ フォルダへのアクセスを許可することは、キーが Development/ で始まるすべてのオブジェクトへのアクセスを許可することと同じです。

バケット、フォルダ、ファイルに対するリクエストの違い

バケット、フォルダ、ファイルなど、操作対象が異なると、対応する API リクエストと Resource 構成も異なります。これらの違いを理解することが、アクセスポリシーを正しく設定する鍵となります。

GET /?prefix=Development/&delimiter=/ HTTP/1.1
Host: examplebucket.oss-cn-hangzhou.aliyuncs.com

コンソールと API/SDK アクセスの違い

コンソール経由で OSS にアクセスする場合、API や SDK を直接使用してアクセスするよりも多くの権限が必要です。これは、ユーザーがバケットリストから目的のフォルダに移動する必要があるためです。

ポリシー設計のアプローチ

Development/ フォルダへの読み取り/書き込みアクセスを許可するには、2 種類の権限を付与する必要があります。

1. 一覧表示権限：ユーザーが Development/ フォルダ内のオブジェクトを一覧表示できるようにします (oss:ListObjects)。Condition は、一覧表示を Development プレフィックスで始まるオブジェクトに制限します。

2. 読み取り/書き込み権限：Development/ フォルダ内のファイルの読み取り (oss:GetObject) とアップロード (oss:PutObject) を許可します。Resource 要素は examplebucket/Development/* を指します。

ポリシーの作成と付与

1. RAM ポリシーページに移動し、[ポリシーの作成] をクリックします。

2. [スクリプトエディター] タブを選択し、次のポリシー内容を入力します。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Development",
               "Development/*"
             ]
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "oss:GetObject",
           "oss:PutObject",
           "oss:GetObjectAcl"
         ],
         "Resource": "acs:oss:*:*:examplebucket/Development/*"
       }
     ]
   }

   ポリシーの分析：

   • 最初の Statement：バケットに対する一覧表示権限を付与します。oss:Prefix を持つ Condition は、一覧表示を Development フォルダとそのサブフォルダ内のコンテンツに制限します。

   • 2 番目の Statement：読み取り/書き込み権限を付与します。Resource は Development/* パス内のすべてのオブジェクトを指します。

3. [OK] をクリックします。[ポリシー名] (例：AllowAnneAccessDevelopment) を入力し、[OK] をクリックしてポリシーを作成します。

4. ユーザーリストページに移動します。RAM ユーザー Anne を見つけ、[権限の追加] をクリックし、作成したばかりのポリシーを選択します。

ユーザーグループの作成とメンバーの追加

1. RAM ユーザーグループページに移動し、[ユーザーグループの作成] をクリックします。たとえば、DenyPrivateAccessGroup という名前を付けます。

2. [メンバーの追加] をクリックし、Private/ フォルダへのアクセスを拒否すべき RAM ユーザーをユーザーグループに追加します。

拒否ポリシーの作成と付与

1. RAM ポリシーページに移動し、[ポリシーの作成] をクリックします。

2. [スクリプトエディター] タブを選択し、次のポリシー内容を入力します。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Deny",
         "Action": "oss:*",
         "Resource": "acs:oss:*:*:examplebucket/Private/*"
       },
       {
         "Effect": "Deny",
         "Action": "oss:ListObjects",
         "Resource": "acs:oss:*:*:examplebucket",
         "Condition": {
           "StringLike": {
             "oss:Prefix": [
               "Private/",
               "Private/*"
             ]
           }
         }
       }
     ]
   }

   ポリシーの分析：

   • 最初の Statement：Private/ パス配下のすべてのオブジェクトに対するすべての操作を拒否します。

   • 2 番目の Statement：ユーザーがファイルリストを閲覧できないように、Private/ フォルダのコンテンツの一覧表示を拒否します。

3. [OK] をクリックします。[ポリシー名] (例：DenyAccessPrivateFolder) を入力し、[OK] をクリックしてポリシーを作成します。

4. RAM ユーザーグループページに移動します。ユーザーグループに対して [権限の追加] をクリックし、作成したばかりのポリシーを選択します。

グループ内の RAM ユーザーが Private/ フォルダにアクセスしようとすると、ユーザーがファイルのリスト表示を試みているかダウンロードを試みているかに関わらず、OSS は権限拒否エラーを返します。